Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Principios de diseño para desarrollar un centro de contacto seguro en Connect Customer
La seguridad incluye la capacidad de proteger la información, los sistemas y los activos a la vez que se proporciona valor empresarial mediante evaluaciones de riesgos y estrategias de mitigación. En esta sección se ofrece una descripción general de los principios de diseño, las mejores prácticas y las preguntas relacionadas con la seguridad de las cargas de trabajo de Connect Customer.
El recorrido de Connect Customer Security
Una vez que haya tomado la decisión de transferir su carga de trabajo a Connect Customer, además de revisar Seguridad en Connect Customer y Mejores prácticas de seguridad para Connect Customer seguir estas pautas y pasos para comprender e implementar sus requisitos de seguridad en relación con las siguientes áreas de seguridad principales:
Comprender el AWS Modelo de seguridad
Cuando traslada los sistemas informáticos y los datos a la nube, las responsabilidades de seguridad pasan a ser compartidas entre usted y AWS. AWS es responsable de proteger la infraestructura subyacente que sustenta la nube, y usted es responsable de todo lo que coloque en la nube o se conecte a la nube.
AWS Los servicios que utilice determinarán la cantidad de trabajo de configuración que tendrá que realizar como parte de sus responsabilidades de seguridad. Cuando utiliza Connect Customer, el modelo compartido refleja AWS las responsabilidades del cliente a un alto nivel, como se muestra en el siguiente diagrama.
Fundamentos de conformidad
Third-party los auditores evalúan la seguridad y el cumplimiento de Connect Customer como parte de varios programas de AWS cumplimiento. Entre ellos, se incluyen: SOC
Para obtener una lista de AWS los servicios incluidos en el ámbito de programas de cumplimiento específicos, consulte AWS Servicios incluidos en el ámbito de cada programa de cumplimiento
Selección de región
La selección de la región para alojar la instancia de Connect Customer depende de las restricciones de soberanía de los datos y de la ubicación de los contactos y los agentes. Una vez tomada la decisión, revisa los requisitos de red para Connect Customer y los puertos y protocolos que debes permitir. Además, para reducir el radio de expansión, usa la lista de dominios permitidos o los intervalos de direcciones IP permitidos para tu instancia de Connect Customer.
Para obtener más información, consulte Configure su red para usar el panel de control de contacto con el cliente (CCP) de Connect.
AWS integración de servicios
Recomendamos revisar cada AWS servicio de su solución en función de los requisitos de seguridad de su organización. Consulte los siguientes recursos:
Seguridad de datos en Connect Customer
Durante su proceso de seguridad, es posible que sus equipos de seguridad necesiten un conocimiento más profundo de cómo se gestionan los datos en Connect Customer. Consulte los siguientes recursos:
Diagrama de carga de trabajo
Revise su diagrama de carga de trabajo y diseñe una solución óptima en AWS. Esto incluye analizar y decidir qué AWS servicios adicionales deben incluirse en su solución y en cualquier aplicación local o de terceros que deba integrarse.
AWS Identity and Access Management (IAM)
Tipos de personas de Connect Customer
Hay cuatro tipos de personas de Connect Customer, según las actividades que se estén realizando.
-
AWS administrador: AWS los administradores crean o modifican los recursos de Connect Customer y también pueden delegar el acceso administrativo a otras personas principales mediante el servicio AWS Identity and Access Management (IAM). El ámbito de esta persona se centra en crear y administrar su instancia de Connect Customer.
-
Administrador de Connect Customer: los administradores del servicio determinan a qué funciones y recursos de Connect Customer deben acceder los empleados en el sitio web de Connect Customer administración. El administrador del servicio asigna perfiles de seguridad para determinar quién puede acceder al sitio web de Connect Customer administración y qué tareas puede realizar. El alcance de esta persona se centra en crear y administrar su centro de contacto de Connect Customer.
-
Agente de Connect Customer: los agentes interactúan con Connect Customer para realizar sus tareas laborales. Los usuarios del servicio pueden ser agentes o supervisores de centros de contacto.
-
Contacto del servicio de atención al cliente de Connect: el cliente que interactúa con su centro de atención al cliente de Connect.
Prácticas recomendadas del administrador de IAM
El acceso administrativo de IAM debe estar limitado al personal aprobado de su organización. Los administradores de IAM también deben saber qué funciones de IAM están disponibles para usar con Connect Customer. Para conocer las prácticas recomendadas de IAM, consulte Prácticas recomendadas de seguridad en IAM en la Guía del usuario de IAM. Consulte también Ejemplos de políticas de Connect Customer basadas en la identidad.
Mejores prácticas para los administradores del servicio de atención al cliente de Connect
Los administradores del servicio son responsables de administrar a los usuarios de Connect Customer, lo que incluye agregar usuarios a Connect Customer, proporcionarles sus credenciales y asignar los permisos adecuados para que puedan acceder a las funciones necesarias para realizar su trabajo. Los administradores deben comenzar con un conjunto mínimo de permisos y conceder permisos adicionales según sea necesario.
Perfiles de seguridad para el acceso al panel de control de clientes y contactos (CCP) de Connectle ayudan a gestionar quién puede acceder al panel de control del cliente de Connect y al panel de control de contactos, y quién puede realizar tareas específicas. Revise los permisos detallados concedidos a los perfiles de seguridad predeterminados disponibles de forma nativa. Se pueden configurar perfiles de seguridad personalizados para cumplir requisitos específicos. Por ejemplo, un agente avanzado que pueda atender llamadas, pero que también tenga acceso a informes. Una vez finalizado esto, se deben asignar los usuarios a los perfiles de seguridad correctos.
Multi-Factor autentificación
Para mayor seguridad, le recomendamos exigir la autenticación multifactor (MFA) para todos los usuarios de IAM de su cuenta. La MFA se puede configurar mediante AWS IAM, tu proveedor de identidad SAML 2.0 o un servidor Radius, si es más adecuado para tu caso práctico. Una vez configurada la MFA, aparece un tercer cuadro de texto en la página de inicio de sesión de Connect Customer para indicar el segundo factor.
Identidad federada
Además de almacenar a los usuarios en Connect Customer, puedes habilitar el inicio de sesión único (SSO) en Connect Customer mediante la federación de identidades. La federación es una práctica recomendada para permitir que los eventos del ciclo de vida de los empleados se reflejen en Connect Customer cuando se crean en el proveedor de identidad de origen.
Acceso a aplicaciones integradas
Es posible que los empleados de sus flujos necesiten credenciales para acceder a la información en aplicaciones y sistemas externos. Para proporcionar credenciales para acceder a otros AWS servicios de forma segura, utilice las funciones de IAM. Un rol de IAM es una entidad que tiene su propio conjunto de permisos, pero que no es un usuario ni un grupo. Los roles tampoco tienen su propio conjunto permanente de credenciales y se rotan automáticamente.
Las credenciales, como las claves de la API, deben almacenarse fuera del código de su aplicación de flujo, donde puedan recuperarse mediante programación. Para ello, puede utilizar una solución de terceros existente AWS Secrets Manager o una solución de terceros. Con Secrets Manager, puedes reemplazar las credenciales codificadas de tu código, incluidas las contraseñas, por una llamada a la API a Secrets Manager para recuperar el secreto mediante programación.
Controles de detección
El registro y el monitoreo son importantes para la disponibilidad, la fiabilidad y el rendimiento del centro de contacto. Debes registrar la información relevante de Connect Customer Flows to Amazon CloudWatch y crear alertas y notificaciones basadas en esa información.
Debe definir los requisitos de retención de registros y las políticas de ciclo de vida desde el principio, y planificar el traslado de los archivos de registro a ubicaciones de almacenamiento rentables tan pronto como sea práctico. Las API públicas de Connect Customer inician sesión en AWS CloudTrail. Debe revisar y automatizar las acciones configuradas en función de CloudTrail los registros.
Amazon S3 es la mejor opción para la retención a largo plazo y el archivo de datos de registro, especialmente para las organizaciones con programas de conformidad que requieren que los datos de registro sean auditables en su formato nativo. Cuando los datos de registro se encuentren en un bucket de S3, defina las reglas del ciclo de vida para aplicar automáticamente las políticas de retención y traslade estos objetos a otras clases de almacenamiento rentables, como Amazon S3 Standard - Infrequent Access (Standard - IA) o Amazon Glacier.
La AWS nube proporciona una infraestructura y herramientas flexibles que admiten tanto soluciones sofisticadas de registro centralizado y autogestionadas como soluciones de registro centralizado y autogestionadas. Esto incluye soluciones como Amazon OpenSearch Service y Amazon Logs. CloudWatch
La detección y la prevención del fraude para los contactos entrantes se pueden implementar personalizando Connect Customer Flows según los requisitos del cliente. Por ejemplo, los clientes pueden comparar los contactos entrantes con la actividad previa de los contactos en DynamoDB y, a continuación, tomar medidas, como desconectar un contacto porque es un contacto bloqueado.
Protección de la infraestructura
Si bien Connect Customer no tiene que gestionar ninguna infraestructura, pueden darse situaciones en las que la instancia de Connect Customer necesite interactuar con otros componentes o aplicaciones implementados en la infraestructura local. Por lo tanto, es importante asegurarse de que se tengan en cuenta los límites de la red bajo este supuesto. Revise e implemente las consideraciones específicas de seguridad de la infraestructura de Connect Customer. Además, revise los escritorios de los agentes y supervisores del centro de contacto o las soluciones de VDI en cuanto a consideraciones de seguridad.
Puede configurar una función de Lambda para conectarse a subredes privadas en una nube virtual privada (VPC) de su cuenta de . Utilice Amazon Virtual Private Cloud para crear una red privada para recursos como bases de datos, instancias de caché o servicios internos. Conecte su función de Customer a la VPC para acceder a los recursos privados durante la ejecución.
Protección de datos
Los clientes deben analizar los datos que recorren la solución de centro de contacto e interactúan con ella.
-
Datos externos y de terceros
-
On-premises datos en arquitecturas híbridas de Connect Customer
Tras analizar el ámbito de los datos, deben realizarse clasificaciones de los mismos prestando atención a la identificación de los datos confidenciales. Connect Customer se ajusta al modelo de responsabilidad AWS compartida. Protección de datos en Connect Customerincluye prácticas recomendadas, como el uso de MFA y TLS, y el uso de otros AWS servicios, incluido Amazon Macie.
Connect Customer gestiona una variedad de datos relacionados con los centros de contacto. Esto incluye medios de llamadas telefónicas, grabaciones de llamadas, transcripciones de chats, metadatos de contactos, así como flujos, perfiles de enrutamiento y colas. Connect Customer gestiona los datos en reposo mediante la separación de los datos por ID de cuenta e ID de instancia. Todos los datos que se intercambian con Connect Customer están protegidos mientras se transmiten entre el navegador web del usuario y Connect Customer mediante el cifrado TLS de estándar abierto.
Puede especificar AWS KMS las claves que se utilizarán para el cifrado, incluida la opción Bring Your Own Key (BYOK). Además, puede utilizar las opciones de administración de claves en Amazon S3.
Protección de datos mediante el cifrado Client-Side
Su caso práctico puede requerir el cifrado de los datos confidenciales que recopilan los flujos. Por ejemplo, para recopilar la información personal adecuada a fin de personalizar la experiencia del cliente cuando interactúa con su IVR. Para ello, puede utilizar la criptografía de clave pública con el SDK de cifrado de AWS. El SDK de AWS cifrado es una biblioteca de cifrado del lado del cliente diseñada para que todo el mundo pueda cifrar y descifrar datos de forma eficaz mediante estándares abiertos y prácticas recomendadas.
Validación de entradas
Realice la validación de las entradas para asegurarse de que solo ingresan al flujo datos correctamente formados. Esto debería ocurrir lo antes posible en el flujo. Por ejemplo, cuando se le pide a un cliente que diga o introduzca un número de teléfono, es posible que incluya o no el código del país.
Conecta los vectores de seguridad de los clientes
La seguridad de Connect Customer se puede dividir en tres capas lógicas, como se muestra en el siguiente diagrama:
-
Estación de trabajo de agente. La capa de estaciones de trabajo de los agentes no está gestionada por ningún equipo físico AWS y por tecnologías, servicios y terminales de terceros que ayudan a los agentes a utilizar la voz y los datos y acceder a la capa de interfaz de Connect Customer.
Siga las prácticas recomendadas de seguridad de esta capa y preste especial atención a lo siguiente:
-
Planifique la administración de identidades teniendo en cuenta las prácticas recomendadas descritas en Mejores prácticas de seguridad para Connect Customer.
-
Reduzca las amenazas internas y los riesgos de cumplimiento asociados a las cargas de trabajo que gestionan información confidencial mediante la creación de una solución de IVR segura que pueda utilizar para evitar que los agentes accedan a la información confidencial. Al cifrar la entrada de contactos en sus flujos, podrá capturar información de forma segura sin exponerla a sus agentes, sus estaciones de trabajo ni sus entornos operativos. Para obtener más información, consulte Cifre las entradas confidenciales de los clientes en Connect Customer.
-
Usted es responsable de mantener la lista de direcciones AWS IP, puertos y protocolos permitidos necesaria para usar Connect Customer.
-
-
AWS: La AWS capa incluye Connect Customer e AWS integraciones como AWS Lambda Amazon DynamoDB, Amazon API Gateway, Amazon S3 y otros servicios. Siga las directrices del pilar de seguridad para AWS los servicios, prestando especial atención a lo siguiente:
-
Planifique la administración de identidades teniendo en cuenta las prácticas recomendadas descritas en Mejores prácticas de seguridad para Connect Customer.
-
Integraciones con otros AWS servicios: identifique cada AWS servicio en el caso de uso, así como los puntos de integración de terceros aplicables a este caso de uso.
-
Connect Customer puede integrarse con AWS Lambda las funciones que se ejecutan dentro de la VPC de un cliente a través de los puntos de enlace de la VPC de Lambda.
-
-
Externa: la capa externa incluye puntos de contacto, como el chat, los terminales con los que se puede llamar con un clic y la red PSTN para llamadas de voz, las integraciones que puede tener con las soluciones de centro de contacto antiguas en una arquitectura de centro de contacto híbrida y las integraciones que puede tener con otras soluciones de terceros. Cualquier punto de entrada o salida de un tercero en su carga de trabajo se considera la capa externa.
Esta capa también cubre las integraciones que los clientes puedan tener con otras soluciones y aplicaciones de terceros, como los sistemas CRM, la administración de la fuerza laboral (WFM) y las herramientas y aplicaciones de generación de informes y visualización, como Tableau y Kibana. Debe tener en cuenta las siguientes áreas cuando proteja la capa externa:
-
Puede crear filtros de contacto para los contactos repetidos y fraudulentos AWS Lambda para escribir los detalles de contacto en DynamoDB desde su propio flujo, incluidos el ANI, la dirección IP de los puntos finales de chat y de marcado
con un clic y cualquier otra información de identificación para hacer un seguimiento del número de solicitudes de contacto que se producen durante un período de tiempo determinado. Con este enfoque, puede consultar y añadir contactos a las listas de denegación y desconectarlos automáticamente si superan los niveles razonables. -
Las soluciones de detección de fraudes de ANI que utilizan los metadatos de telefonía de Connect Customer y las soluciones de socios se
pueden utilizar para protegerse contra la suplantación del identificador de llamadas. -
El identificador de voz del cliente de Connect y otras soluciones biométricas de voz asociadas se pueden utilizar para mejorar y agilizar el proceso de autenticación. La autenticación biométrica de voz activa permite a los contactos la opción de pronunciar frases específicas y utilizarlas para la autenticación de la firma de voz. La biometría de voz pasiva permite a los contactos registrar su huella de voz única y utilizarla para autenticarse con cualquier entrada de voz que cumpla los requisitos de duración suficientes para la autenticación.
-
Mantén la sección de integración de aplicaciones en la consola de Connect Customer para añadir cualquier aplicación o punto de integración de terceros a tu lista de dispositivos permitidos y elimina los terminales no utilizados.
-
Envíe solo los datos necesarios para cumplir los requisitos mínimos a sistemas externos que manejen datos confidenciales. Por ejemplo, si solo tiene una unidad de negocio que utiliza su solución de análisis de grabación de llamadas, puede establecer un desencadenador de AWS Lambda en su bucket de S3 para procesar los registros de contacto, buscar las colas específicas de la unidad de negocio en los datos de los registros de contacto y, si se trata de una cola que pertenece a la unidad, enviar solo esa grabación de llamadas a la solución externa. Con este enfoque, solo se envían los datos necesarios y se evitan los costos y los gastos generales asociados al procesamiento de grabaciones innecesarias.
Para ver una integración que permita a Connect Customer comunicarse con Amazon Kinesis y Amazon Redshift para permitir la transmisión de los registros de contactos, consulte Integración de Connect Customer: transmisión de datos.
-
Recursos
Documentación
Artículos
Videos
